外部网络只有特定用户可以访问内部服务器 内部网络只有特定主机可以访问外部网络
在本例中，假定外部特定用户的 IP 地址为 202.39.2.3。 2. 组网图
FTP服务器 129.38.1.1 Telnet服务器 129.38.1.2 WWW服务器 129.38.1.3
129.38.1.5
公司内部特定 PC 129.38.1.4
[Quidway] acl 101
[Quidway-acl-101] rule deny ip source any destination any
# 配置规则允许特定主机访问外部网，允许内部服务器访问外部网。
[Quidway-acl-101] rule permit ip source 129.38.1.4 0 destination any [Quidway-acl-101] rule permit ip source 129.38.1.1 0 destination any [Quidway-acl-101] rule permit ip source 129.38.1.2 0 destination any [Quidway-acl-101] rule permit ip source 129.38.1.3 0 destination any
202.38.160.1 广域网
公司外部特定 PC
图1-1 防火墙配置的组网图
3. 配置步骤 # 打开防火墙功能。
[Quidway] firewall enable
# 设置防火墙缺省过滤方式为允许包通过。
[ 配置访问规则禁止所有包通过。
# 将规则 102 作用于从接口 Serial0 进入的包。
[Quidway-Serial0] firewall packet-filter 102 inbound
# 配置规则允许特定用户从外部网访问内部服务器。
[Quidway] acl 102 [Quidway-acl-102] rule permit tcp source 202.39.2.3 0 destination 202.38.160.1 0
# 配置规则允许特定用户从外部网取得数据（只允许端口大于 1024 的 包）。
[Quidway-acl-102] rule permit tcp source any destination
202.38.160.1 0.0.0.0 destination-port greater-than 1024
# 将规则 101 作用于从接口 Ethernet0 进入的包。
[Quidway-Ethernet0] firewall packet-filter 101 inbound
1.1 防火墙典型配置举例
1. 组网需求 该公司通过一台 Quidway 路由器的接口 Serial 0 访问 Internet， 公司内部 对外提供 WWW、FTP 和 Telnet 服务，公司内部子网为 129.38.1.0，其 中，内部 FTP 服务器地址为 129.38.1.1，内部 Telnet 服务器地址为 129.38.1.2，内部 WWW 服务器地址为 129.38.1.3，公司对外地址为 202.38.160.1。在路由器上配置了地址转换，这样内部 PC 机可以访问 Internet，外部 PC 可以访问内部服务器。通过配置防火墙，希望实现以 下要求：